Formular-Backend und DSGVO: 7 Prüfpunkte

Wer ist verantwortlich: Sie oder der Formulardienst?

Ein Kontaktformular erhebt personenbezogene Daten: Name, E-Mail-Adresse, oft eine Telefonnummer. Nach der DSGVO entscheiden Sie, wozu die Daten erhoben werden, also sind Sie Verantwortlicher. Das Formular-Backend speichert und leitet die Daten in Ihrem Auftrag weiter, also ist es Auftragsverarbeiter.

Diese Rollen haben Folgen. Art. 28 verlangt mit jedem Auftragsverarbeiter einen Vertrag, den AVV. Der Dienst kann Ihnen bei der Umsetzung helfen, sie Ihnen aber nicht abnehmen. Rechtsgrundlage, Datenschutzhinweis und eine sinnvolle Speicherdauer bleiben Ihre Aufgabe.

„100 % DSGVO-konform“ auf einer Anbieterseite ist ein Anfang, keine Antwort. Die Prüfpunkte unten zeigen, was hinter dem Versprechen steht.

Sieben Prüfpunkte für einen Formulardienst

1. Ein AVV, den Sie abschließen können. Suchen Sie einen Vertrag nach Art. 28, im Dashboard abzuschließen oder Teil der AGB. Ohne AVV fehlt die Grundlage für die Auftragsverarbeitung.
2. Wo die Einsendungen liegen. Am einfachsten ist die Speicherung in der EU oder im EWR. Auch die USA können zulässig sein: Das EU-US Data Privacy Framework gilt seit Juli 2023, Standardvertragsklauseln funktionieren ebenfalls. Gegen das Framework ist ein Rechtsmittel beim EuGH anhängig (Stand 03.10.2026), daher ist EU-Speicherung das geringere Risiko.
3. Eine Liste der Unterauftragsverarbeiter. Hosting, E-Mail-Versand, Captcha und KI-Anbieter sollten benannt sein, Änderungen angekündigt werden.
4. Speicherdauer und Löschung. Sie sollten festlegen können, wie lange Einsendungen gespeichert werden, einzelne Einträge löschen und Daten für Auskunftsersuchen exportieren können.
5. Extras, die die EU verlassen. Messenger wie Telegram oder Slack verarbeiten Nachrichten nach eigenen Regeln, oft außerhalb des EWR. Ebenso viele KI-Funktionen und Google reCAPTCHA. Aktivieren Sie sie nur, wenn Ihre Datenschutzerklärung sie abdeckt.
6. Datenminimierung. Speichert der Dienst vollständige IP-Adressen oder setzt er Tracking-Cookies bei Ihren Besuchern? Weniger Daten heißt weniger zu erklären.
7. Sicherheit und Meldung von Datenpannen. HTTPS, Zugriffskontrolle und die Zusage, Sie unverzüglich über eine Panne zu informieren, sind die Grundlagen.

Formulardienste mit Speicherung in der EU

Diese Dienste geben an, Einsendungen in der EU zu speichern. Die Angaben stammen von ihren öffentlichen Seiten, geprüft am 03.10.2026. Preise ändern sich; prüfen Sie sie vor dem Kauf.

• Formgong (unser Dienst). Einsendungen in Cloudflare D1 mit EU-Jurisdiktion; E-Mails über ZeptoMail aus einem EU-Rechenzentrum; vollständige IP-Adressen werden nicht gespeichert. Ein öffentlicher AVV ist Teil der Bedingungen. Kostenlos: 300 Einsendungen pro Monat. Telegram-Zustellung und KI-Bewertung sind optional und können Daten außerhalb der EU verarbeiten.
• Formward. Hosting und Datenbank in Schweden, KI von Mistral in Frankreich, IP-Adressen gehasht. Der AVV wird im Dashboard akzeptiert. Kostenlos: 100 Einsendungen pro Monat; bezahlte Tarife ab 15 € pro Monat.
• FormPost. Server bei Hetzner in Deutschland, AVV im Konto abschließbar, eine eigene Rechenfrage statt reCAPTCHA. Kostenlos: ein Formular und zehn Benachrichtigungs-E-Mails pro Tag; Pro kostet 17,85 € pro Jahr inklusive MwSt.
• Forminit (früher Getform). Sitz in Großbritannien, Formulardaten in AWS-Regionen der EU. Der AVV wird mit den AGB akzeptiert.

US-Dienste wie Formspree geben an, dass Daten in den USA und anderen Ländern verarbeitet werden können. Mit AVV und Übermittlungsgrundlage kann das zulässig sein, bedeutet aber mehr Dokumentation. Tarife und Funktionen nebeneinander finden Sie im Vergleich der Formular-Backends.

Was in Ihre Datenschutzerklärung gehört

Nach der Wahl des Dienstes ergänzen Sie Ihre Datenschutzerklärung um einige Sätze. Nennen Sie den Formulardienst als Empfänger, den Speicherort und wie lange Sie Einsendungen aufbewahren. Erwähnen Sie Telegram, E-Mail-Anbieter oder KI-Bewertung, wenn Sie diese nutzen.

Setzen Sie einen kurzen Hinweis direkt ans Formular und verlinken Sie den vollständigen Text. Um eine Anfrage zu beantworten, brauchen Sie keine Einwilligungs-Checkbox; für Werbung schon. Ein fertiges Muster steht im Ratgeber Kontaktformular und DSGVO.

<form action="https://formgong.com/submit" method="POST">
  <input type="hidden" name="access_key" value="fk_your_access_key">
  <input type="hidden" name="_lang" value="de">
  <label>E-Mail <input type="email" name="email" required autocomplete="email"></label>
  <label>Nachricht <textarea name="message" required></textarea></label>
  <p>Wir nutzen Ihre Angaben nur, um Ihnen zu antworten. <a href="/datenschutz">Datenschutzerklärung</a>.</p>
  <div aria-hidden="true" style="position:absolute;left:-10000px">
    <input type="text" name="botcheck" tabindex="-1" autocomplete="off">
  </div>
  <button type="submit">Senden</button>
</form>

Formgong datenschutzfreundlich einrichten

1. Legen Sie auf formgong.com ein Formular an. Der AVV gilt ab der Kontoerstellung; lesen Sie ihn und die Seite Wo die Daten liegen.
2. Stellen Sie in den Formulareinstellungen die Speicherdauer ein. Im Free-Tarif werden Einsendungen 30 Tage gespeichert. In Pro und Business wählen Sie 30, 90 oder 365 Tage oder unbegrenzt bis zur Löschung.
3. Entscheiden Sie über Extras. Für eine Verarbeitung nur in der EU nutzen Sie E-Mail und lassen Telegram und KI-Bewertung aus. Wenn Sie sie aktivieren, nehmen Sie sie in die Datenschutzerklärung auf.
4. Fragen Sie nur ab, was Sie brauchen. Für die meisten Kontaktformulare genügen Name, E-Mail und Nachricht.

Tarife und Limits finden Sie unter Preise.